GitLab CVE-2026-110264: уязвимость с оценкой 10.0 — обновитесь до 19.5.1, 19.4.3 или 18.11.13

21 октября 2026 года GitLab выпустил версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 с исправлением критической уязвимости CVE-2026-110264. Её оценка по CVSS — максимальные 10.0: атака идёт по сети, без авторизации и без действий пользователя. GitLab настоятельно рекомендует обновить все свои установки немедленно.

Что случилось

Ошибка — переполнение целого числа в компиляторе регулярных выражений. Уязвимы все версии GitLab Community Edition и Enterprise Edition начиная с 7.0 — то есть практически любой self-managed GitLab, который не обновлён до вышедших версий. Временного обходного решения GitLab не предлагает. Уязвимость нашёл исследователь joaxcar и сообщил о ней через HackerOne.

В том же выпуске закрыты ещё две уязвимости: CVE-2026-15723 (CVSS 8.2) и CVE-2026-112212 (CVSS 7.5).

Кто под угрозой

• Self-managed GitLab — свой сервер, Omnibus, Docker или Helm-чарт в Kubernetes. Обновлять нужно самим.
• GitLab.com и GitLab Dedicated уже обновлены, клиентам этих сервисов ничего делать не нужно.

Сообщений об атаках на эту уязвимость пока нет, в каталог CISA KEV она на 22 октября не внесена. Но GitLab хранит исходный код, переменные CI/CD, ключи деплоя и доступы к продакшену — уязвимость с оценкой 10.0 в нём стоит закрыть, не дожидаясь первых атак.

Что делать сейчас

1. Проверить версию: Admin → Overview → Dashboard или /help под администратором.
2. Обновиться до исправленной версии своей ветки: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 или 18.11.13. Ветки старше 18.11 исправлений не получат — их нужно переводить на поддерживаемую версию по пути обновлений GitLab.
3. Учесть простой: в 19.4.3 и 19.3.6 есть изменения базы данных, и на установке из одного узла обновление пройдёт с остановкой. Многоузловые установки можно обновить без простоя по инструкции GitLab.
4. Сделать резервную копию перед обновлением (gitlab-backup create и файлы gitlab-secrets.json, gitlab.rb), после обновления — проверить, что раннеры, вебхуки и пайплайны работают.

Как заметить атаку

GitLab приводит признаки для логов: падения нативного воркера Onigmo и всплески ошибок рендеринга файлов Org mode. Если они есть в логах до обновления, стоит проверить сервер на следы взлома и сменить токены и секреты CI/CD.

Мы сопровождаем self-managed GitLab и CI/CD проектов. Обновим GitLab по безопасному пути версий с резервной копией и планом отката, проверим раннеры и пайплайны, а при подозрении на взлом — проверим сервер и сменим секреты.

Источник: объявление GitLab о выпуске 19.5.1.